Wyzwania informatyki bankowej 2016

Ransomware czyli różne oblicza szantażu
Ransomware to złośliwe oprogramowanie, którego celem jest wymuszenie
opłaty od użytkownika zainfekowanego systemu. Zazwyczaj, aby zapewnić
sobie wpływy z tego typu działalności, trojan szyfruje pliki lub dyski zainfekowanego
systemu. W ten sposób użytkownik ma do wyboru: albo dokonać
reinstalacji systemu i odzyskać dane z kopii zapasowych, albo zapłacić i uzyskać
program umożliwiający odszyfrowanie zaszyfrowanych danych. W takim
przypadku wykrycie i usunięcie trojana przez oprogramowanie antywirusowe
powoduje tylko usunięcie infekcji a nie odzyskanie danych. Zazwyczaj
do szyfrowania danych używany jest silny algorytm z losowo generowanym
kluczem. Z tego powodu analiza kodu trojana nie zapewnia możliwości odszyfrowania
danych czy opracowania uniwersalnej metody usuwania infekcji
wraz z odszyfrowaniem zaszyfrowanych plików.
Oczywiście istnieje wiele wariantów ransomware. Ciekawym przypadkiem
jest Locky, którego proces szyfrowania można zatrzymać. Locky wymienia klucze
szyfrujące w pamięci ze swoim centrum dowodzenia (C&C). Zakłócenie
procesu wymiany – np. poprzez zerwanie połączenia z siecią – powoduje, że
proces szyfrowania zostanie zatrzymany. Locky jest interesujący z jeszcze jednego
powodu: jest on łączony z autorami złośliwego oprogramowania z rodziny
DRIDEX (poprzednikiem była rodzina CRIDEX), które stara się kraść informacje
potrzebne do uwierzytelnienia z systemów bankowości elektronicznej.
Innym interesującym przypadkiem jest Petya. W przeciwieństwie do typowych
przedstawicieli tego typu złośliwego oprogramowania, Petya nie szyfruje
tylko plików, lecz całe dyski. Co więcej, nie zostawia systemu w stanie do
dalszego użytku: po zaszyfrowaniu dysku systemowego i kolejnym restarcie
lub uruchomieniu systemu Petya wyświetla fałszywy komunikat programu
chkdsk o uszkodzonym wolumenie. Następnie wyświetla ekran z instrukcjami
co należy zrobić, aby odzyskać dostęp do systemu. Petya instaluje się w tablicy
partycji dysków ignorując sposób startu systemu operacyjnego w przypadku
obecności UEFI. To może powodować zamazanie części informacji na dysku
i uszkodzenie systemu niezależnie od procesu szyfrowania. Co więcej, pierwsza
faza szyfrowania opiera się na prostej i odwracalnej operacji XOR. Autorzy
zapewne zaimplementowali to w ten sposób, aby skrócić czas zaszyfrowania
dysków i odcięcia użytkownika od jego systemu. Tym samym w teorii skrócili
czas oczekiwania na wpłaty od szantażowanych użytkowników.
166 Aleksander P. Czarnowski, AVET